preparedStatement和Statement区别及联系

1.两者之间的关系:

  • preparedstatement和statement两者都是用来执行sql查询语句的API之一。
  • preparedstatement接口继承了statement接口。

2.两者之间的区别: 

  • statement不对sql语句做处理,直接交给数据库;而prepraedstatement是支持预编译的,会将编译好的sql语句放在数据库端,相当于缓存,对于多次重复执行的sql语句,使用prepraedstatement可以使得代码的执行效率更高。
  • 使用statement对象,在数据库只执行一次存取的时候,用statement对象进行处理,prepraedstatement对象的开销对statement大,对于一次性操作并不会带来额外的好处。
  • 执行许多sql语句的JDBC程序产生大量的statement和preparedstatement对象,通常以为preparedstatement比statement对象更有效。
  • statement的sql语句使用字符串拼接的方式,非常容易导致出错,且存在sql注入的风险,preparedstatement使用“?”占位符,提升了代码的可读性和可维护性,并且这种绑定参数的方式可以有效地防止sql注入。

 3.什么是sql注入:

sql存在的漏洞,会被攻击导致数据泄露,sql会被拼接。